HAL Id: hal-01099845
https://hal.archives-ouvertes.fr/hal-01099845
Submitted on 5 Jan 2015
HAL is a multi-disciplinary open access archive for the deposit and dissemination of sci- entific research documents, whether they are pub- lished or not. The documents may come from teaching and research institutions in France or
L’archive ouverte pluridisciplinaire HAL, est destinée au dépôt et à la diffusion de documents scientifiques de niveau recherche, publiés ou non, émanant des établissements d’enseignement et de recherche français ou étrangers, des laboratoires
Biométrie et vie privée
Patrick Lacharme
To cite this version:
Patrick Lacharme. Biométrie et vie privée. Atelier Protection de la Vie Privée (APVP), 2012, Bre- tagne, Ile de Groix, France. �hal-01099845�
Biom´etrie et vie priv´ee
Patrick Lacharme patrick.lacharme@ensicaen.fr
R´esum´e
Le d´eploiement important des syst`emes d’identification et d’au- thentification biom´etriques pose des probl`emes tr`es importants pour la vie priv´ee des individus. Ce papier donne un aper¸cu des syst`emes biom´etriques, de leurs utilisations, des m´ethodes de protection des donn´ees, ainsi que des cons´equences engendr´ees sur la vie priv´ee.
1 Introduction
De mani`ere g´en´erale, l’identification est un proc´ed´e permettant d’identi- fier une personne, tandis que l’authentification assure de l’identit´e de cette personne, compl´etant ainsi le processus d’identification. Ces deux notions se distinguent facilement sur l’exemple d’un contrˆole d’acc`es `a un webmail.
Dans ce cas, l’identification se fait `a l’aide d’un identifiant unique, tandis que l’authentification est r´ealis´ee avec un mot de passe. L’authentification de la personne est bas´ee sur la connaissance de ce secret. Afin d’´eviter les at- taques par rejeux, on utilise des protocoles d’authentification en deux passes
`
a l’aide d’un challenge al´eatoire, connus sous le nom de protocoles chal- lenge/r´eponse. Si on veut une authentification sans apport de connaissance, on ajoute une troisi`eme passe, dite d’engagement comme ceux propos´es par Fiat-Shamir [FS87] ou Schnorr [Sch90]. Ces derniers protocoles sont toute- fois appel´es protocoles d’identification par leurs auteurs. Si le secret utilis´e pour l’authentification est unique, il peut aussi ˆetre utilis´e pour s’identifier (la raison est aussi historique, dans les ann´ees 80, le terme authentification
´etant surtout employ´e pour l’authentification des donn´ees).
Le m´elange de ces deux notions n’a pas disparu avec l’apparition de l’authentification forte. Celle-ci est bas´ee sur trois facteurs : ce que je con- nais (un mot de passe), ce que je poss`ede (une carte `a puce) et ce que je suis (biom´etrie). Une carte `a puce est un choix naturel pour le stockage d’une donn´ee secr`ete, car elle est suppos´ee s´ecuris´ee et reste sous le contrˆole de son porteur. Par contre, le dernier facteur d’authentification n’est rien d’autre qu’une donn´ee d’identification, particuli`erement sensible du point de vue de la vie priv´ee. L’identification et l’authentification biom´etrique sont pr´esent´ees `a travers certaines applications, en insistant sur les menaces que
2 Biom´ etrie
La biom´etrie est l’utilisation des caract´eristiques d’un individu pour l’identifier, comme la reconnaissance du visage, les empreintes digitales, l’iris, le contour ou les veines de la main. Cette donn´ee doit ˆetre facilement mesurable et ne pas varier dans le temps. Une des plus c´elebre authentifi- cation biom´etrique est celle de la r´efugi´ee afghane du National Geographic.
Dans les ann´ees 80, un journaliste prit la photo d’une jeune afghane dans un camp de r´efugi´es du Pakistan, qui devint c´el`ebre pour la couleur verte de ses yeux. Ce journaliste retourna 17 ans plus tard au Pakistan pour la rechercher et publia une nouvelle photo. Une authentification biom´etrique de son iris permit de confirmer son identit´e1[Dau]. Par ailleurs, les donn´ees biom´etriques n’ont pas toutes les mˆemes caract´eristiques. Ainsi, la mul- tiplication des cam´eras de surveillance n’est pas sans cons´equence sur la biom´etrie faciale. De plus, les empreintes digitales qui sont les donn´ees biom´etriques les plus utilis´ees sont des donn´ees dites `a trace, car chaque personne laisse des traces de ses empreintes digitales dans la vie courante.
Les donn´ees `a trace engendrent des risques suppl´ementaires comme l’usurpa- tion d’identit´e et demandent une attention suppl´ementaire [CNI].
L’authentification revient `a comparer l’empreinte biom´etrique d’une per- sonne `a une empreinte particuli`ere stock´ee, par exemple, sur une carte `a puce (lien 1 :1). Ce mode d’utilisation n’exige pas n´ecessairement le stockage d’in- formations identifiant le porteur de la carte, ce qui limite les risques sur la vie priv´ee, particuli`erement si l’authentification est r´ealis´ee `a l’int´erieur de la carte (match on card). D’un autre cot´e, l’identification biom´etrique consiste
`
a retrouver l’identit´e d’une personne `a partir de sa donn´ee biom´etrique et d’une base de donn´ees contenant plusieurs personnes (lien 1 :N). Ce disposi- tif est beaucoup plus intrusif pour la vie priv´ee des utilisateurs. Une variante v´erifie seulement que la donn´ee biom´etrique est pr´esente dans un ensemble de donn´ees sans renvoyer sur un individu particulier.
La protection des donn´ees biom´etriques est n´ecessaire pour assurer la s´ecurit´e des protocoles et la protection de la vie priv´ee des utilisateurs.
Les engagements flous introduits par Juels et Wattenberg en 1999 [JW99, DRS04, Boy04] utilisent des codes correcteurs d’erreur sur des donn´ees biom´etriques binaires comme l’iriscode [HAD06, BCC+07]. D’un autre cot´e, la biom´etrie r´evocable est introduite en 2001 par Ratha et al. [RCB01] sur les empreintes digitales. De nombreux sch´emas sont propos´es sur diverses modalit´es biom´etriques comme l’iris ou la reconnaissance faciale [JNN08, RU11a]. Quelques r´ef´erences r´ecentes donnent un aper¸cu global sur les tech- niques de protection, comme [CS09, CGP+09, ABC+11, RU11b].
1. Il n’est pas certain que cette jeune femme ait donn´e son consentement pour la publication de l’image de son iris dans le monde entier.
3 Biom´ etrie et gestion de l’identit´ e
Une donn´ee biom´etrique appartient `a la personne qui l’a g´en´er´ee. Cette donn´ee devrait donc ˆetre prot´eg´ee par l’application du principe de sou- verainet´e des donn´ees. De plus, celle-ci est par nature non r´evocable et ne pourra donc pas ˆetre modifi´ee si celle-ci est compromise, contrairement `a un mot de passe traditionnel. Les donn´ees biom´etriques ne sont donc pas des informations personnelles comme les autres et cela implique que l’utilisation de telles donn´ees doit ˆetre exceptionelle et justifi´ee [CNI]. Toutes ces donn´ees sont stock´ees sur des supports vari´es, pouvant aller des supports individuels (carte `a puce, ´eventuellement combin´ee avec une technologie sans contact, cl´e USB) `a des supports non individuels g´er´es par des tiers. Ce dernier mode de stockage concerne g´en´eralement des serveurs contenant une grande quantit´e de donn´ees biom´etriques, et ne doit ˆetre utilis´e que de mani`ere exceptionelle [CNI] (id´ealement jamais !).
L’introduction de donn´ees biom´etriques dans un document d’identit´e courant a commenc´e avec le passeport biom´etrique qui int´egrait ces donn´ees dans une carte `a puce sans contact (carte de proximit´e, ISO 14443) [ICA, fSidIB]. Ces donn´ees biom´etriques sont encod´ees au format CBEFF (ISO 19785). Les premiers passeports ne contenaient que des images faciales du porteur du document et pr´esentaient de nombreuses failles de s´ecurit´e qui ont ´et´e mises en ´evidence tout au long de la derni`ere d´ecennie (en par- ticulier au niveau du protocole BAC pour l’acc`es aux donn´ees). L’Union Europ´eenne y a ajout´e toutefois des empreintes digitales [Uni]. Ainsi, en plus de la photographie faciale du detenteur du passeport, il y a deux em- preintes digitales stock´ees dans le passeport biom´etrique fran¸cais. Une base de donn´ee centralis´ee est aussi cr´e´e, contenant les empreintes digitales de 8 doigts, impliquant des risques tr`es importants. La CNIL est extr`emement r´eserv´ee sur cette base centralis´ee, consid´er´ee comme disproportionn´ee, no- tamment vis-`a-vis des principes de finalit´e et de proportionalit´e [CNI11].
La nouvelle carte d’identit´e biom´etrique fran¸caise (vot´ee par 11 d´eput´es en session extraordinaire en juillet 2011) comprendra deux puces, dont l’une avec des donn´ees biom´etriques. L’int´egration de donn´ees biom´etriques n’est pas uniquement r´ealis´ee pour des besoins de s´ecurit´e, comme en t´emoigne le rapport du s´enat sur la proposition de loi relative `a la protection de l’i- dentit´e [Pil11] : Le sujet engage aussi des enjeux ´economiques, industriels : la s´ecurisation des ´echanges ´electroniques est un march´e [...]Les entreprises fran¸caises, en pointe sur ce domaine, veulent investir le march´e fran¸cais.Ce fichier centralis´e biom´etrique a toutefois ´et´e refus´e par le conseil constitu- tionnel en mars 2012 pour atteinte `a la protection de la vie priv´ee [con]. Une vue g´en´erale sur les cartes d’identit´e europ´eennes et la vie priv´ee est donn´ee dans [Eni09]. Notons enfin, une directive europ´eenne [Uni06] demandant aux
´etats de d´evelopper un permis de conduire num´erique `a partir de 2013, sans doute biom´etrique en France.
4 Authentification forte biom´ etrique
De multiples applications industrielles contenant des donn´ees biom´etriques voient le jour, g´en´eralement pour obtenir une authentification forte bas´ee sur trois facteurs. Certaines applications sont largement r´epandues dans le com- merce, comme l’authentification par empreintes digitales pour acc´eder `a son ordinateur personnel (ce qui revient `a avoir son mot de passe ´ecrit en clair sur chacune des touches de son PC,... au lieu de l’avoir sur un post-it ?). La biom´etrie est aussi envisag´ee dans d’autres applications industrielles, avec la mise en place de GAB ou de TPE comportant un capteur biom´etrique.
La banque Accord a ainsi ´et´e nomin´ee aux Big Brother Awards 2010 pour l’exp´erimentation d’un syst`eme biom´etrique bas´e sur les veines du doigt, combin´e avec une carte sans contact, en remplacement du code PIN, afin de fluidifier le passage en caisse dans les supermarch´es. Le d´eploiement `a grande ´echelle des syst`emes biom´etriques est surtout frein´e par une forte r´eticence de la population `a s’enrˆoler et utiliser de telles applications.
Le d´eveloppement de nombreux syst`emes d’authentification biom´etrique, combin´e avec l’existence de grandes bases de donn´ees biom´etriques multi- plie les menaces sur ces donn´ees d’identification sensibles. Or, les enjeux en termes de s´ecurit´e et de protection de la vie priv´ee dans les syst`emes biom´etriques d´epassent compl`etement le cadre dans lesquels ceux-ci sont utilis´es, car les donn´ees biom´etriques ne sont pas r´evocables. Si celles-ci sont compromises lors d’une application donn´ee, elles seront compromises pour toutes les applications, sans limite de temps. Ainsi, l’utilisation de la biom´etrie, pour renforcer la s´ecurit´e d’une application, augmente les men- aces de toutes les autres applications biom´etriques.
Les techniques de protection match on card sur carte `a puce ont deux limites importantes : premi`erement elles ne peuvent pas ˆetre utilis´ees dans toutes les applications. Par ailleurs, elles supposent que les cartes utilis´ees soient inviolables. D’un autre cˆot´e, les syst`emes de chiffrement biom´etriques assurent une certaine r´evocabilit´e et diversit´e des donn´ees biom´etriques, ainsi qu’une bonne s´ecurit´e, si la cl´e n’est pas compromise lors de la phase de v´erification. Toutefois, ces sch´emas ne sont pas toujours applicables effi- cacement, selon la modalit´e biom´etrique utilis´ee. Un des enjeux majeurs en biom´etrie est donc de pouvoir utiliser des donn´ees qui soient r´evocables et sp´ecifiques `a chaque application. C’est l’objectif de la biom´etrie r´evocable, qui ne travaille que sur des donn´ees transform´ees et non-inversibles. Ces sch´emas doivent toutefois prendre en compte la variabilit´e naturelle des donn´ees biom´etriques et sont encore loin d’assurer la protection des donn´ees souhait´ee, notamment vis-`a-vis des attaques par substitution. La biom´etrie r´evocable fait d’ailleurs partie des challenges ´evoqu´es par le National Science and Technology Council sur la biom´etrie, concernant la partie protection de la vie priv´ee [SoBM11].
5 Conclusion
Le d´eveloppement croissant des syst`emes d’identification et d’authen- tification biom´etrique est une menace importante pour la vie priv´ee des personnes. Les donn´ees biom´etriques sont notamment des donn´ees person- nelles, non r´evocables et tr`es sensibles. Tout comme les techniques de chiffre- ment biom´etriques, la biom´etrie r´evocable pourrait ˆetre une solution `a ce probl`eme. La mise en place efficace de tels sch´emas, avec un niveau de s´ecurit´e important, reste encore `a accomplir. C’est un challenge tr`es im- portant pour la protection de la vie priv´ee dans les prochaines ann´ees.
R´ ef´ erences
[ABC+11] V. Alimi, R. Belguechi, E. Cherrier, P. Lacharme, and C. Rosen- berger. An Overview on Privacy Preserving Biometrics. Book on Biometrics, InTech, 2011.
[BCC+07] J. Bringer, H. Chabanne, G. Cohen, B. Kindarji, and G. Z´emor.
Optimal iris fuzzy sketches. In BTAS’07, pages 27–29, 2007.
[Boy04] X. Boyen. Reusable cryptographic fuzzy extractors. In ACM CCS, pages 82–91, 2004.
[CGP+09] S. Cimato, M. Gamassi, V. Piuri, R. Sassi, and F. Scotti.Privacy in Biometrics. Biometrics : Theory, Methods and Applications, 2009.
[CNI] CNIL. Communication de la cnil relative `a la mise en oeuvre de dispositifs de reconnaissance par empreinte digitale avec stockage dans une base de donn´ees.
[CNI11] CNIL. Note d’observations de la cnil concernant la proposition de loi relative `a la protection de l’identit´e, 2011.
[con] D´ecision 2012-652 dc du 22 mars 2012 par le conseil constitu- tionnel sur la loi relative `a la protection de l’identit´e.
[CS09] A. Cavoukian and A. Stoianov. Biometric Encryption. The En- cyclopedia of Biometrics, Springer Verlag, 2009.
[Dau] J. Daugman. How the afghan girl was identified by her iris pat- tern, http ://www.cl.cam.ac.uk/˜jgd1000/afghan.html.
[DRS04] Y. Dodis, L. Reyzin, and A. Smith. How to generate strong keys from biometrics and other noisy data. InEUROCRYPT’04, LNCS 3027, pages 523–540, 2004.
[Eni09] Enisa. Privacy features of european eid card specifications, tech- nical report, 2009.
[FS87] A. Fiat and A. Shamir. How to prove yourself : Practical solutions to identification and signature problem. In CRYPTO’86, pages
[fSidIB] Bundesamt f¨ur Sicherheit in der Informationstechnik (BSI). Tr- 03110, v 2.02 : Advanced security mechanism for machine read- able travel documents.
[HAD06] F. Hao, R. Anderson, and J. Daugman. Combining crypto with biometrics effectively. IEEE Transactions on Computers, 55(9) :1081–1088, 2006.
[ICA] ICAO. Doc 9303 : Machine readable travel documents - part 1, volume 1 (2004) et 2 (2006).
[JNN08] A. K. Jain, K. Nandakumar, and A. Nagar. Biometric template security.EURASIP J. Advances in Signal Processing, 8(2) :1–17, 2008.
[JW99] A. Juels and M. Wattenberg. A fuzzy commitment scheme. In ACM Conf. on Comp. and Comm. Security, pages 28–36, 1999.
[Pil11] F. Pillet. Rapport fait au nom de la commission des lois consti- tutionnelles, de l´egislation, du suffrage universel, du r`eglement et d’administration g´en´erale sur la proposition de loi relative `a la protection de l’identit´e, 2011.
[RCB01] N. Ratha, J. Connell, and R. M. Bolle. Enhancing security and privacy in biometrics based authentication systems. IBM Sys- tems, 40(3) :614–634, 2001.
[RU11a] C. Rathgeb and A. Uhl. The State-of-the-Art in Iris Biometric Cryptosystems. InTech, 2011.
[RU11b] C. Rathgeb and A. Uhl. A survey on biometric cryptosystems and cancelable biometrics. EURASIP J. on Information Security, 3, 2011.
[Sch90] C. P. Schnorr. Efficient identification and signatures for smart cards. InCRYPTO’89, pages 239–252, 1990.
[SoBM11] National Science, Technology Council. Subcommittee on Biomet- rics, and Identity Management. The national biometrics chal- lenge. technical report, 2011.
[Uni] European Union. http ://ec.europa.eu/justice home/news/intro/
news 0606 en.htm.
[Uni06] European Union. Directive 2006/126/ce du parlement europ´een et du conseil relative au permis de conduire, 2006.
